Pozor na přílohy ve WhatsAppu: Falešné faktury vám ovládnou Windows, jakmile je otevřete

Bezpečnostní firma odhalila aktivní kampaň, která přes WhatsApp Desktop a WhatsApp Web rozesílá škodlivé přílohy maskované jako faktury.

Zdroj fotografie: Unsplash

Útok funguje jednoduše, a právě proto je tak zákeřný. Ve WhatsAppu vám od známého kontaktu přijde soubor pojmenovaný třeba „Financial Reports“, „Debt confirmation“ nebo „Account Statement“. Vypadá jako běžný finanční dokument, jenže místo přípony PDF nebo XLSX má koncovku .vbs nebo .vbe. Jde o spustitelný skript, nikoli o běžný dokument. Jakmile ho ve Windows otevřete, spustí se vícestupňový řetězec, který se pokusí oslabit ochranu systému a nenápadně nainstalovat legitimní nástroj pro vzdálenou správu. Přes něj pak může útočník získat vzdálený přístup k vašemu počítači. Samotné přijetí zprávy přitom nic nespustí. Kritické jsou především dvě akce: stažení souboru a jeho otevření.

Jak přesně útok probíhá krok za krokem

Analýzu celého řetězce útoku zveřejnil Kaspersky 22. června 2026 na webu Securelist. Po otevření souboru s příponou .vbs ho Windows předá interpretu WScript.exe. Skript si vytvoří skrytou pracovní složku v C:\Users\Public\Documents\ a stáhne další dva skripty ve VBScriptu.

První se pokouší změnit hodnotu klíče registru ConsentPromptBehaviorAdmin na 0. Podle dokumentace Microsoftu tím lze změnit chování Řízení uživatelských účtů (UAC) tak, aby se při určitých operacích neobjevovala obvyklá výzva k potvrzení. Druhý skript mezitím stáhne ZIP archiv obsahující instalační balíček ManageEngine Endpoint Central. Pomocný skript setup1.vbs se pokusí získat vyšší oprávnění prostřednictvím příkazu runas. Pokud se mu to podaří, spustí instalaci agenta pomocí msiexec.exe, a to bez běžného průvodce instalací.

Výsledek? Na počítači se může objevit plnohodnotný nástroj pro vzdálenou správu, aniž by si uživatel uvědomil, že byl nainstalován v rámci útoku.

Proč útočníci zneužívají legitimní firemní software

ManageEngine Endpoint Central není žádný „nový virus“. Jde o komerční podnikovou platformu, kterou firmy po celém světě používají ke správě svých zařízení. Umožňuje například vzdáleně řešit technické problémy, ovládat počítače, nasazovat software nebo přenášet soubory. Právě tyto schopnosti z ní dělají pro útočníky užitečný nástroj, pokud chtějí v napadeném systému zůstat dlouhodobě a nenápadně.

Bezpečnostní software nemusí takovou aplikaci automaticky označit jako malware, protože sama o sobě škodlivá není. Jde o legitimní program s platným digitálním podpisem, který ale útočník může zneužít k tomu, aby:

• vzdáleně ovládal plochu počítače,
• instaloval další software,
• stahoval a odesílal soubory,
• prováděl změny v systému bez vědomí uživatele.

Kaspersky upozorňuje, že právě možnosti vzdálené správy dělají z tohoto nástroje atraktivní prostředek k udržení přístupu k napadenému zařízení.

WhatsApp jako nový e-mail pro phishing

Nejpodstatnější rozdíl oproti klasickému phishingu spočívá v použitém komunikačním kanálu. Lidé bývají opatrnější u e-mailových příloh, ale zpráva ve WhatsAppu od známého kontaktu může vzbuzovat větší důvěru. Příloha navíc často přichází bez doprovodného textu – jen jako soubor s názvem, který připomíná finanční dokument.

Že nejde o ojedinělý případ, dokládá také Microsoft. Už 31. března 2026 zveřejnil analýzu jiné aktivní kampaně, která využívala podobný princip: skripty VBS šířené přes WhatsApp, jež následně stahovaly škodlivé instalační balíčky MSI. WhatsApp na Windows se tak může stát významným distribučním kanálem malwaru. Nejde nutně o jediný izolovaný případ, ale o způsob útoku, který mohou kyberzločinci opakovat v různých kampaních.

Kaspersky uvádí, že 80 % obětí sledovaných v rámci aktuální kampaně pocházelo z Malajsie. Názvy souborů však byly lokalizované do portugalštiny, francouzštiny, němčiny i malajštiny. Česko mezi zeměmi s největším počtem zaznamenaných obětí podle této analýzy nefiguruje. Jazyková rozmanitost ale naznačuje, že útočníci mohou kampaň přizpůsobovat různým regionům.

Co udělat hned teď

Nejdůležitější je věnovat pozornost příponě souboru. Faktura nebo výpis z účtu by běžně měly přijít například ve formátu PDF, DOCX nebo XLSX. Pokud vám někdo přes WhatsApp pošle soubor s příponou .vbs, .vbe, .exe, .bat, .cmd, .js nebo .ps1, neotevírejte ho, pokud si nejste naprosto jistí jeho původem a účelem. Samotná přípona sice ještě nedokazuje, že je soubor škodlivý, ale u nečekané přílohy je důvodem k velké opatrnosti.

Praktické kroky pro ochranu:

• Zapněte zobrazování přípon souborů ve Windows. Systém je může ve výchozím nastavení skrývat, což útočníkům usnadňuje maskování škodlivých souborů. Návod najdete v nápovědě Microsoftu.
• Nechte zapnutý SmartScreen, který může varovat před nebezpečnými weby a podezřelými soubory.
• Ve WhatsAppu vypněte automatické stahování médií a souborů, pokud tuto funkci nepotřebujete, a zapněte dvoufázové ověření účtu.
• Pravidelně kontrolujte propojená zařízení v nastavení WhatsAppu a neznámé relace odpojte.
• Pokud jste podezřelou přílohu už otevřeli: odpojte počítač od sítě a spusťte bezpečnostní kontrolu. V podezřelé aktivitě mohou hrát roli i soubory ve složce C:\Users\Public\Documents\, zejména skryté adresáře s názvy typu Temp_, MSUpdate_ nebo Sys_. Soubory jako UEMSAgent.msi nebo DCAgentServerInfo.json mohou být vodítkem k další kontrole, samy o sobě však nemusí dokazovat napadení. Pokud máte podezření na kompromitaci, obraťte se na odborníka nebo správce IT.

Pokud vám známý pošle fakturu přes WhatsApp, ale nečekali jste ji, ověřte si její pravost jiným kanálem – třeba telefonátem. Nečekaná příloha může být výsledkem napadení účtu vašeho kontaktu. Několik sekund na ověření vám může ušetřit dlouhé řešení následků kompromitovaného počítače.